暗号資産ハードウェアウォレットを手がけるKeystoneのWebサイトで不正アクセスが確認され、購入者情報が取得されたとされています。同社は決済情報や復元用情報を流出対象外と説明する一方、影響を受けた顧客への連絡を始め、なりすましへの注意を促しています。
- Keystoneは10月20日に不正アクセスを検知したと説明しています。
- Keystoneが確認した氏名、住所、注文情報の流出
- Keystoneが示した決済情報と秘密鍵の対象外
- Keystoneが顧客へ注意を促すなりすましのリスク
Webサイト侵害と流出した購入者情報
暗号資産ハードウェアウォレットを手がけるKeystoneのWebサイトで、不正な第三者によるアクセスが確認されたとされています。同社の説明では、10月20日に侵入を検知し、オンラインストア基盤であるShopifyのAPI利用状況を確認した後、10月23日に購入者情報が取得されたことを確認しました。
流出したとされる情報には、氏名、連絡先、配送先住所のほか、購入した商品や支払額を含む注文情報が含まれます。一方で、影響を受けた顧客数、不正アクセスの手法、どの時期の注文情報が対象だったかは明らかにされていません。
決済情報と復元用情報の対象外説明
Keystoneは、決済カード情報や銀行口座情報は流出対象ではないと説明しています。また、リカバリーフレーズ（ウォレットを復元するための秘密の単語列）、暗号資産の移動に必要な秘密鍵、ウォレットのパスワードも対象に含まれていないとしています。
同社は、不正アクセスを遮断し、脆弱性を修正したうえで調査を開始したと説明しています。影響を受けた顧客にはメールで連絡を始めたとしており、返金や交換、注文対応を名目にした電話、SMS、メール、郵便によるなりすましにも注意を促しています。
配送データの保持方針と未公表の影響範囲
Keystoneが過去に示した配送データの保持方針には、注文後180日で自動的に削除するとの説明がある一方、2023年に更新されたヘルプ記事では、購入者からの申請と条件確認を経て削除手続きを進めるとの記載があります。配送データの削除時期や手続きに関する説明には差があります。
今回の侵害で、どの注文期間の情報が対象だったかは示されていません。同社は侵害の詳細な報告を公表する意向を示しており、影響範囲とデータ保持の実態については、その内容で確認されることになります。
